Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\RServer3] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\RServer3] 'ImagePath' = '"%WINDIR%\SysWOW64\rserver30\RServer3.exe" /service'
- [<HKLM>\System\CurrentControlSet\Services\mirrorv3] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\mirrorv3] 'ImagePath' = 'system32\DRIVERS\rminiv3.sys'
- [<HKLM>\System\CurrentControlSet\Services\raddrvv3] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\raddrvv3] 'ImagePath' = '%WINDIR%\SysWOW64\rserver30\raddrvv3.sys'
Создает следующие сервисы
- 'RServer3' "%WINDIR%\SysWOW64\rserver30\RServer3.exe" /service
- 'mirrorv3' system32\DRIVERS\rminiv3.sys
- 'raddrvv3' %WINDIR%\SysWOW64\rserver30\raddrvv3.sys
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Radmin Server 3" dir=in action=allow program="%WINDIR%\SysWOW64\rserver30\rserver3.exe" enable=yes profile=any
- '%WINDIR%\syswow64\net.exe' stop msiserver
Внедряет код в
следующие пользовательские процессы:
- famitrfc.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\radminserver\radmin_server.msi
- %WINDIR%\syswow64\rserver30\mirrorv3.cat
- %WINDIR%\syswow64\rserver30\raddrvv3.sys
- %WINDIR%\syswow64\rserver30\eula.txt
- %WINDIR%\syswow64\rserver30\radmin30.chm
- %WINDIR%\syswow64\rserver30\radmin30ru.chm
- %WINDIR%\syswow64\rserver30\1049.lng_rad
- %WINDIR%\syswow64\rserver30\nts64helper.dll
- %WINDIR%\syswow64\rserver30\wsock32.dll
- %APPDATA%\microsoft\installer\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\arpproducticon.exe
- %APPDATA%\microsoft\installer\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\newshortcut3_6bf1780b36ea432b9451dd84ff5c9d52.exe
- %WINDIR%\syswow64\rserver30\r_sui.dll
- %APPDATA%\microsoft\installer\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\newshortcut4_6bf1780b36ea432b9451dd84ff5c9d52.exe
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\настройки radmin server.lnk
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\справка.lnk
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\запустить radmin server.lnk
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\остановить radmin server.lnk
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\удалить.lnk
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\setb5a6.tmp
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\setb6fe.tmp
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\setb828.tmp
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\setb933.tmp
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
- %WINDIR%\syswow64\rserver30\mirrorv3.dll
- %WINDIR%\syswow64\rserver30\mirrorv3.inf
- %WINDIR%\syswow64\rserver30\rminiv3.sys
- %WINDIR%\syswow64\rserver30\rsetup64.exe
- %WINDIR%\syswow64\rserver30\fam64helper.exe
- %TEMP%\radminserver\64.bat
- %TEMP%\radminserver\hidcon.exe
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup.exe
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup64.exe
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\firewallinstallhelper.dll
- %WINDIR%\syswow64\rserver30\winlpcdl.dll
- %WINDIR%\syswow64\rserver30\winlpcdl2.dll
- %WINDIR%\syswow64\rserver30\famitrfc.exe
- %WINDIR%\syswow64\rserver30\famitrf2.exe
- %WINDIR%\syswow64\rserver30\firewallinstallhelper.dll
- %WINDIR%\temp\uddd0d.tmp
- %APPDATA%\microsoft\installer\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\z_menu_srvcfg_6bf1780b36ea432b9451dd84ff5c9d52.exe
- %WINDIR%\syswow64\rserver30\rserver3.exe
- %WINDIR%\syswow64\rserver30\rsl.exe
- %WINDIR%\syswow64\rserver30\rchatx.dll
- %WINDIR%\syswow64\rserver30\chatlogs\info.txt
- %WINDIR%\syswow64\rserver30\rschatx.dll
- %WINDIR%\syswow64\rserver30\chatlpcx.dll
- %WINDIR%\syswow64\rserver30\raudiox.dll
- %WINDIR%\syswow64\rserver30\voicex.dll
- %WINDIR%\syswow64\rserver30\rsaudiox.dll
- %WINDIR%\syswow64\rserver30\vcintcx.dll
- %WINDIR%\syswow64\rserver30\vcintsx.dll
- %TEMP%\radminserver\32.bat
- %WINDIR%\syswow64\rserver30\rcursor.dll
- %WINDIR%\temp\udd4c0b.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
Удаляет следующие файлы
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\mirrorv3.cat
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\mirrorv3.dll
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\mirrorv3.inf
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\rminiv3.sys
- %WINDIR%\temp\uddd0d.tmp
- %WINDIR%\temp\udd4c0b.tmp
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\firewallinstallhelper.dll
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup.exe
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup64.exe
- %TEMP%\radminserver\32.bat
- %TEMP%\radminserver\64.bat
- %TEMP%\radminserver\hidcon.exe
- %TEMP%\radminserver\radmin_server.msi
Перемещает следующие файлы
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\setb5a6.tmp в %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\rminiv3.sys
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\setb6fe.tmp в %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\mirrorv3.cat
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\setb828.tmp в %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\mirrorv3.dll
- %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\setb933.tmp в %TEMP%\{29404e5c-4220-66ff-3262-0901ccb43a62}\mirrorv3.inf
Другое
Создает и запускает на исполнение
- '%TEMP%\radminserver\hidcon.exe' 64.bat
- '%TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup64.exe' /stop
- '%WINDIR%\syswow64\rserver30\rsetup64.exe' /intsetup
- '%WINDIR%\syswow64\rserver30\rsetup64.exe' /start
- '%WINDIR%\syswow64\rserver30\rserver3.exe' /service
- '%WINDIR%\syswow64\rserver30\famitrfc.exe'
- '%WINDIR%\syswow64\rserver30\famitrf2.exe'
- '%WINDIR%\syswow64\cmd.exe' /c 64.bat' (со скрытым окном)
- '%TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup64.exe' /stop' (со скрытым окном)
- '%WINDIR%\syswow64\rserver30\rsetup64.exe' /intsetup' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Radmin Server 3" dir=in action=allow program="%WINDIR%\SysWOW64\rserver30\rserver3.exe" enable=yes profile=any' (со скрытым окном)
- '%WINDIR%\syswow64\rserver30\rsetup64.exe' /start' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c 64.bat
- '%WINDIR%\syswow64\net.exe' start msiserver
- '%WINDIR%\syswow64\net1.exe' start msiserver
- '%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\RadminServer\Radmin_Server.msi" /quiet /norestart
- '%WINDIR%\syswow64\rundll32.exe' %WINDIR%\SysWOW64\rserver30\wsock32.dll,ntskd noreboot
- '%WINDIR%\syswow64\net1.exe' stop msiserver
